Trusted Design

CVE-2008-4128 の詳細

CVEの情報

説明:
Multiple cross-site request forgery (CSRF) vulnerabilities in the HTTP Administration component in Cisco IOS 12.4 on the 871 Integrated Services Router allow remote attackers to execute arbitrary commands via (1) a certain "show privilege" command to the /level/15/exec/- URI, and (2) a certain "alias exec" command to the /level/15/exec/-/configure/http URI. NOTE: some of these details are obtained from third party information.

CVE更新日: 2008-09-18 20:00:00.530000

CVSSバージョン: 3.1

CVSSスコア: 4.3

KEVの情報

KEV更新日: 2026-07-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.336800000

EPSS更新日: 2026-08-31 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

1. 脆弱性の概要

Cisco IOS 12.4 の HTTP Administration（Web 管理インターフェース） に存在する 複数の Cross-Site Request Forgery（CSRF）脆弱性。 攻撃者は管理者がログイン中のブラウザを悪意あるページへ誘導することで、以下の URI を悪用し 任意の管理コマンドを実行可能。
/level/15/exec/-（例：show privilege）
/level/15/exec/-/configure/http（例：alias exec による設定変更）

1.1 影響

  • リモート・未認証の攻撃者が、管理者権限で 任意コマンド実行
  • 設定変更・デバイス制御・ネットワークピボットなど、完全な機器乗っ取りが可能

1.2 深刻度

  • CVSS v2（NVD）: 9.3 HIGH（AV:N/AC:M/Au:N/C:C/I:C/A:C）
  • CVSS v3.1（CISA-ADP）: 4.3 MEDIUM（AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N）
  • CISA Known Exploited Vulnerabilities (KEV) に登録済み（2026年7月12日）

2. 対象となる環境

2.1 影響を受ける OS バージョン

  • Cisco IOS 12.4（特に 871 Integrated Services Router）
    ※NVD・CISA・複数の第三者情報が一致して 12.4 を影響範囲として記載

2.2 影響を受ける設定

  • HTTP 管理インターフェースが有効になっている場合
    （CSRF は Web 管理機能が前提）

  • Referer チェックや CSRF トークンなど 入力検証が不足している状態（脆弱性の根本原因）

3. 影響を受けた時の兆候

  • 管理者が意図しないタイミングで IOS に対し /level/15/exec/ 系 URI への HTTP リクエストが送信される
  • 管理者端末のブラウザから内部ルータへ 不審な HTTP リクエストが発生
  • ルータ設定の 予期しない変更（alias exec の追加・設定変更など）
    ※公式に「兆候」として明示された一覧は存在しないため、上記は引用元の技術分析に基づく事実記述。

4. 推奨対策

4.1 本対策（恒久対策）

  • Cisco IOS のアップグレード（12.4 系の脆弱性修正版へ更新）
    ※Cisco 公式の 12.4 系は既に「Obsolete」扱いであり、CISA は「緊急パッチ適用」を推奨

  • HTTP 管理インターフェースの利用停止（HTTPS/SSH など安全な管理チャネルへ移行）

4.2 暫定回避策（緩和策）

  • HTTP 管理インターフェースをネットワーク的に隔離（ACL によるアクセス制限）
  • 管理者端末のブラウザで 不審なサイトを開かない運用徹底（CSRF 誘導防止）
  • 管理者操作を行う端末を 専用端末に限定し、インターネット閲覧を禁止
  • CSRF の悪用を検知するため、
    • /level/15/exec/-
    • /level/15/exec/-/configure/http
      へのアクセスログ監視を実施

5. その他補足（必要と判断した追加観点）

5.1 脆弱性の悪用状況

  • CISA により「現在も悪用されている脆弱性」として KEV に登録
    → 未更新のレガシー Cisco IOS 12.4 が依然として攻撃対象になっている

5.2 関連する脆弱性分類

  • CWE-352（Cross-Site Request Forgery） に該当

NVDサイト

NVDでCVEの詳細を見る

戻る